Integracja przekazuje wybrane zdarzenia typu alert i anomaly z Suricaty do Sycope, gdzie mogą być przeszukiwane, wizualizowane i korelowane z danymi sieciowymi już dostępnymi na platformie.
Dzięki temu detekcja Suricaty może stać się częścią szerszego procesu analizy, zamiast pozostawać odizolowanym zdarzeniem. Analitycy mogą analizować alert razem z historyczną aktywnością sieciową i wykorzystać Sycope do zrozumienia komunikacji związanej z wykrytym zdarzeniem.
Spis treści
Od zdarzenia Suricata do analizy sieciowej
Suricata zapisuje ustrukturyzowane dane o zdarzeniach w pliku eve.json. Integracja Sycope przetwarza skonfigurowane typy zdarzeń, przy czym alert i anomaly są domyślnie włączone. Może również importować zdarzenia dns, http, tls i fileinfo, jeśli te typy zostaną włączone w konfiguracji integracji. Te dodatkowe typy zdarzeń są wymagane do zasilania dashboardów Protocols i File Analysis. Wdrożenie wykorzystujące wyłącznie domyślną konfigurację alert i anomaly nie dostarczy danych protokołów i plików wymaganych przez te widoki.
Skrypt integracyjny przekształca wybrane zdarzenia do struktury wymaganej przez dedykowany custom index w Sycope i wysyła je przez Sycope REST API. Pomiędzy kolejnymi uruchomieniami zapisywany jest timestamp, aby wcześniej przetworzone zdarzenia nie były ponownie importowane.
Po udostępnieniu danych w Sycope zdarzenia Suricata mogą być przeszukiwane, filtrowane i wizualizowane razem z innymi informacjami sieciowymi. Repozytorium integracji udostępnia również gotowy do importu dashboard pokazujący trendy alertów w czasie, najczęściej występujące signatures oraz adresy źródłowe i docelowe IP najczęściej pojawiające się w zdarzeniach.
Tworzy to bezpośrednią ścieżkę od detekcji bezpieczeństwa do ruchu i komunikacji związanej z systemami objętymi zdarzeniem.
Zamiast pracować wyłącznie na informacjach zawartych w pojedynczym zdarzeniu Suricata, analityk może wykorzystać historyczne dane sieciowe Sycope, aby sprawdzić, co działo się w czasie zbliżonym do detekcji, i ocenić zdarzenie w szerszym kontekście operacyjnym.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Suricata i Sycope pozostają niezależnymi produktami. Integracja nie zastępuje Suricaty ani nie zmienia jej roli w zakresie detekcji. Przekazuje wybrane zdarzenia bezpieczeństwa do Sycope, dzięki czemu mogą być analizowane razem z danymi o ruchu sieciowym.
Suricata zapewnia:
- Generowanie zdarzeń bezpieczeństwa
- Wykrywanie alertów i anomalii
- Eksport zdarzeń w formacie EVE JSON
- Informacje oparte na signatures związanych z wykrytą aktywnością
- Informacje o źródle i celu dla wykrytych zdarzeń
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Historyczne dane o komunikacji sieciowej
- Widoczność komunikacji host-to-host
- Kontekst dotyczący wydajności sieci
- Wyszukiwanie i filtrowanie danych sieciowych
- Dashboardy i wizualizację
- Korelację zdarzeń Suricata z aktywnością sieciową
Suricata identyfikuje aktywność odpowiadającą jej logice detekcji. Sycope dodaje otaczający kontekst sieciowy i historię, które pomagają analitykom zrozumieć, jak dane zdarzenie odnosi się do pozostałej komunikacji w środowisku.
Dlaczego threat detection i historia ruchu sieciowego lepiej działają razem
Zdarzenie bezpieczeństwa stanowi ważny sygnał, że określona aktywność wymaga uwagi. Podczas analizy analitycy często potrzebują jednak zrozumieć, co wydarzyło się przed zdarzeniem i w jego otoczeniu, które systemy się komunikowały oraz czy aktywność była odizolowana, czy stanowiła część szerszego wzorca.
Historyczne flow data zapewniają tę dodatkową perspektywę.
Kontekst wokół wykrytego zdarzenia
Alert Suricaty identyfikuje określone zdarzenie bezpieczeństwa. Gdy zdarzenie jest już dostępne w Sycope, może być analizowane razem z historycznym ruchem związanym z systemem źródłowym i docelowym.
Pozwala to analitykom rozszerzyć analizę poza pojedynczą detekcję i przejrzeć komunikację występującą w tym samym czasie.
Informacje dotyczące wolumenu ruchu, partnerów komunikacji, protokołów oraz czasu nawiązywania połączeń mogą dostarczyć dodatkowego kontekstu przy ocenie znaczenia i potencjalnego wpływu zdarzenia.
Celem nie jest zastąpienie informacji generowanych przez Suricatę, ale osadzenie ich w aktywności sieciowej, z której pochodzą.
Historyczne dane sieciowe podczas analizy
Integracja udostępnia detekcje Suricata na platformie, która przechowuje również historię flow data.
Jest to przydatne, gdy analiza wymaga informacji z okresu poprzedzającego wygenerowanie alertu. Analitycy mogą wykorzystać historyczne dane sieciowe, aby przejrzeć wcześniejszą komunikację i ustalić, czy detekcja stanowi pojedyncze zdarzenie, czy jest powiązana z wcześniejszą aktywnością dotyczącą tych samych systemów.
To samo podejście można wykorzystać do analizy komunikacji po wystąpieniu zdarzenia i sprawdzenia, czy aktywność związana z danymi hostami była kontynuowana.
Zapewnia to szerszą timeline analizy bez konieczności pozyskiwania wszystkich historycznych danych sieciowych bezpośrednio z Suricaty.
Korelacja z innymi zachowaniami sieciowymi
Zdarzenia Suricata zaimportowane do Sycope stają się kolejnym źródłem informacji dostępnym podczas analizy sieciowej.
Analityk badający alert może porównać go z wzorcami komunikacji i innymi obserwacjami sieciowymi dotyczącymi tych samych hostów. Pomaga to powiązać signature lub anomaly wykryte w konkretnym momencie z zachowaniem widocznym w dłuższym okresie.
W efekcie analiza łączy dwa różne rodzaje danych: zdarzenie bezpieczeństwa wygenerowane przez Suricatę oraz historię sieciową przechowywaną przez Sycope.
Szybszy dostęp do istotnego kontekstu
Bez integracji analitycy mogą być zmuszeni najpierw zidentyfikować alert w jednym systemie, a następnie ręcznie odtworzyć związaną z nim aktywność sieciową w innym narzędziu.
Importowanie zdarzeń Suricata do Sycope zapewnia wspólny punkt, z którego analityk może wyszukać zdarzenie i kontynuować analizę sieciową.
Gotowe dashboardy i możliwości filtrowania pozwalają również analizować powtarzające się signatures, hosty związane ze zdarzeniami oraz zmiany aktywności alertów w czasie.
Zdarzenia Suricata jako część analitycznego workflow w Sycope
Po zaimportowaniu do dedykowanego custom indexu dane Suricata mogą być przetwarzane przy użyciu możliwości analitycznych dostępnych w Sycope.
Gotowy dashboard dostarczany razem z integracją zawiera widoki pokazujące trendy alertów, najczęściej występujące signatures Suricata oraz źródłowe i docelowe adresy IP najczęściej powiązane ze zdarzeniami.
Zespoły mogą również tworzyć lub modyfikować dashboardy zgodnie z własnymi wymaganiami operacyjnymi. Obecny artykuł Sycope opisuje dashboardy jako konfigurowalne, dzięki czemu dane Suricata mogą być prezentowane zgodnie z potrzebami konkretnego security workflow.
Dzięki temu integracja może być wykorzystywana zarówno do analizy pojedynczych incydentów, jak i do identyfikowania powtarzających się wzorców w większym zbiorze zdarzeń Suricata.
Przykładowo rosnącą liczbę zdarzeń związanych z konkretną signature można analizować w czasie, a informacje o najczęściej występujących źródłach i celach mogą pomóc zidentyfikować systemy wielokrotnie pojawiające się w detekcjach.
Analityk może następnie kontynuować analizę z wykorzystaniem danych sieciowych dostępnych w Sycope, zamiast traktować dashboard wyłącznie jako widok raportowy.
Gotowa i udokumentowana integracja
Repozytorium zawiera oparty na Pythonie event processor, pliki konfiguracyjne, skrypty instalacyjne i deinstalacyjne, przykłady oraz cztery gotowe do importu dashboardy Sycope: Overview, Alert Analysis, Protocols i File Analysis.
Domyślnie integracja przetwarza zdarzenia alert i anomaly. Może również importować zdarzenia dns, http, tls i fileinfo, jeśli te typy zostaną włączone w konfiguracji integracji. Dodatkowe typy zdarzeń są wymagane do zasilania dashboardów Protocols i File Analysis, dlatego wdrożenie korzystające wyłącznie z domyślnej konfiguracji nie dostarczy danych dla tych widoków.
Integracja obsługuje również whitelisty i blacklisty pozwalające kontrolować, które alerty i anomalies Suricata są importowane. Dzięki temu konkretne signatures lub typy anomalii mogą zostać uwzględnione albo wykluczone zgodnie z wymaganiami danego środowiska.
Aktualne wymagania:
- Python 3.8 lub nowszy
- Suricata 6.0 lub nowsza
- Sycope 3.1 lub nowszy z dostępem do API
- Moduł Python
requests
Suricata pozostaje instalowana i konfigurowana niezależnie. Integracja nie wdraża ani nie konfiguruje samej Suricaty; dostarczone komponenty odpowiadają za przetwarzanie jej EVE JSON output i przesyłanie wybranych zdarzeń do Sycope poprzez REST API.
Jak działa integracja
Integracja składa się z czterech głównych elementów.
1. Zdarzenia Suricata EVE JSON
Suricata generuje informacje dotyczące bezpieczeństwa w swoim eve.json output.
Integracja wykorzystuje ten plik jako źródło zdarzeń. Domyślnie przetwarza zdarzenia typu alert i anomaly, choć konfiguracja określa, które typy mają zostać uwzględnione.
Suricata nadal działa niezależnie jako detection engine i nie musi być instalowana na appliance Sycope.
2. Przetwarzanie i filtrowanie zdarzeń
Skrypt eve_processor.py odczytuje nowe zdarzenia z logu Suricata i stosuje reguły filtrowania zdefiniowane w konfiguracji integracji.
Whitelisty i blacklisty mogą być używane do kontrolowania, które anomalies i signatures są przesyłane.
Każde wybrane zdarzenie jest następnie przekształcane tak, aby odpowiadało strukturze pól custom indexu przygotowanego w Sycope.
Processor przechowuje timestamp ostatniego obsłużonego zdarzenia, dzięki czemu kolejne uruchomienia mogą kontynuować pracę od właściwego miejsca bez ponownego importowania tych samych rekordów.
3. Przesyłanie danych do Sycope przez REST API
Przetworzone zdarzenia Suricata są przesyłane do Sycope przez REST API i zapisywane w dedykowanym custom indexie.
Dla integracji można utworzyć dedykowanego użytkownika i rolę Sycope z uprawnieniami ograniczonymi do wprowadzania danych do custom indexes.
Skrypt integracyjny może działać na tym samym hoście co Suricata lub na innym odpowiednim systemie, jednak uruchamianie go bezpośrednio na appliance Sycope nie jest wspierane ze względu na model uprawnień i izolacji platformy.
4. Wyszukiwanie, dashboardy i korelacja
Po zaimportowaniu zdarzenia Suricata są dostępne w Sycope do wyszukiwania, filtrowania, wizualizacji i korelacji z informacjami sieciowymi.
Dostarczony dashboard może zostać zaimportowany bezpośrednio do Sycope i połączony z indexem Suricata. Zawiera trendy alertów, najczęściej występujące signatures oraz najczęściej pojawiające się źródłowe i docelowe adresy IP.
Organizacje mogą wykorzystać dostarczony dashboard jako punkt wyjścia lub dostosować sposób prezentacji i analizy do własnych procesów bezpieczeństwa.
Analiza z detekcją i kontekstem sieciowym w jednym workflow
Rozważmy alert Suricata związany z podejrzaną komunikacją pomiędzy wewnętrznym hostem a innym systemem.
Suricata generuje zdarzenie i zapisuje je w eve.json. Processor integracji wybiera zdarzenie, mapuje jego pola i przesyła je przez REST API do dedykowanego indexu Suricata w Sycope.
Analityk może zidentyfikować zdarzenie w Sycope i przeanalizować informacje o źródle, celu i signature otrzymane z Suricaty.
Analiza może być następnie kontynuowana z wykorzystaniem danych sieciowych dostępnych dla tych samych systemów i tego samego okresu. Historyczna komunikacja może dostarczyć dodatkowych informacji o aktywności poprzedzającej alert, innych połączeniach związanych z danym hostem oraz o tym, czy zaobserwowane zdarzenie było odizolowane, czy stanowiło część szerszej sekwencji.
Suricata pozostaje odpowiedzialna za samą detekcję, natomiast Sycope zapewnia historię sieciową i środowisko analityczne wykorzystywane do rozszerzenia analizy.
Taki podział zachowuje rolę istniejącego IDS/IPS, jednocześnie zapewniając jego zdarzeniom dodatkowy kontekst operacyjny.
Zachowanie niezależności detekcji Suricata
Integracja została celowo skoncentrowana na przekazywaniu informacji Suricata do Sycope w celu dalszej analizy.
Nie instaluje Suricaty, nie modyfikuje jej konfiguracji ani nie wysyła zmian z powrotem do detection engine. Suricata nadal działa jako niezależne źródło zdarzeń bezpieczeństwa, natomiast Sycope pobiera wybrane alerty i anomalies poprzez warstwę integracyjną.
Pozwala to organizacjom, które już korzystają z Suricaty, zachować istniejącą konfigurację detekcji i dodać kontekst sieciowy oparty na flow data bez konieczności przebudowy wdrożenia IDS/IPS.
Efektem jest workflow, w którym detekcje Suricata mogą być analizowane z wykorzystaniem dodatkowej historii sieciowej, kontekstu komunikacji i wizualizacji w Sycope.
Zobacz integrację w swoim środowisku
Integracja Sycope–Suricata łączy detekcje bezpieczeństwa z aktywnością sieciową, która im towarzyszy.
Suricata nadal dostarcza informacje o alertach i anomalies, natomiast Sycope udostępnia te zdarzenia razem z historycznym ruchem i kontekstem sieciowym do dalszej analizy.
Daje to analitykom szerszy obraz wykrytej aktywności, jednocześnie pozwalając obu technologiom zachować ich dotychczasowe role.
Chcesz zobaczyć, jak zdarzenia Suricata mogą zostać wzbogacone o kontekst sieciowy w Sycope? Umów rozmowę z naszym zespołem.
